Seguridad en APIs GraphQL con Quarkus: Evaluación de vulnerabilidades y estrategias de mitigación
Fecha:
29/11/2025Palabra clave:
Tipo de Ítem:
masterThesis
Resumen:
Las APIs GraphQL han supuesto un antes y un después en la comunicación cliente-servidor. Sin embargo, en la práctica he observado que esa misma flexibilidad introduce vectores de ataque que los equipos de desarrollo tienden a subestimar. Este TFM nace para solucionar un problema real y práctico: la ausencia de una guía de referencia para securizar APIs GraphQL sobre un stack tecnológico tan potente y actual como es Quarkus. El proyecto se centra en aplicar el paradigma Secure by Design no como un concepto teórico, sino como una guía de implementación. Para ello, se desarrolla una API prototipo donde se implementan y validan contramedidas contra amenazas críticas como la introspección abusiva, ataques de denegación de servicio por complejidad de consulta y la fuga de datos por una autorización granular inadecuada. El resultado final no es solo una API funcional, sino un conjunto de pruebas de seguridad automatizadas y una guía de buenas prácticas replicable, diseñada para que otros desarrolladores puedan construir servicios GraphQL robustos y seguros desde el inicio.
Descripción:
GraphQL APIs have marked a turning point in client-server communication. However, in practice, I have observed that this very flexibility introduces attack vectors that development teams tend to underestimate.
This Master's Thesis addresses a real and practical problem: the absence of a reference guide for securing GraphQL APIs on a technological stack as powerful and modern as Quarkus. The project focuses on applying the Secure by Design paradigm not as a theoretical concept, but as an implementation guide.
To this end, a prototype API is developed to implement and validate countermeasures against critical threats such as abusive introspection, query complexity-based denial-of-service attacks, and data leakage due to inadequate granular authorization. The final outcome is not only a functional API but also a set of automated security tests and a replicable best practices guide, designed to enable other developers to build robust and secure GraphQL services from the ground up.
Ficheros en el ítem
